Datenschutzrichtlinien
Auftragsverarbeitungsvereinbarung (AVV)
gemäß Art. 28 der Datenschutz-Grundverordnung (DSGVO)
Zwischen
KICO AI LLP
329 Howe St, Unit #888
Vancouver, BC V6C 3N2, Kanada
(nachfolgend „Auftragnehmer“ oder „AV“)
und
[Name und Anschrift des Kunden]
(nachfolgend „Auftraggeber“ oder „AG“)
Stand: Oktober 2025
Geltende Rechtsordnung: Deutsches Recht in Anwendung der DSGVO
Präambel
Diese Vereinbarung regelt die Rechte und Pflichten der Parteien im Zusammenhang mit der Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers (Art. 28 DSGVO). Die AVV hat Vorrang vor widersprüchlichen Regelungen des Hauptvertrages, soweit die datenschutzrechtliche Compliance betroffen ist.
§ 1 Gegenstand, Art, Umfang und Dauer der Verarbeitung
1. Gegenstand der Verarbeitung: Die Verarbeitung erfolgt zur Erbringung der im Hauptvertrag definierten KI-gestützten Dienstleistungen.
2. Dauer: Die Dauer dieser AVV entspricht der Laufzeit des Hauptvertrags.
3. Kategorien betroffener Personen: Kunden, Interessenten, Mitarbeiter und Geschäftspartner des Auftraggebers (AG).
4. Kategorien personenbezogener Daten: Kontaktdaten, Kommunikationsdaten, Vertragsinhalte, Logfiles, Nutzungsdaten der KI-Systeme, sowie weitere zur Vertragserfüllung übermittelte Daten.
§ 2 Ort der Verarbeitung und Drittlandtransfer
1. Speicherort (Technisch): Die Speicherung und technische Verarbeitung der Daten erfolgt ausschließlich auf Servern innerhalb der Europäischen Union (EU).
2. Drittland-Zugriff (Transfer Art. 44 DSGVO): Der Geschäftssitz des Auftragnehmers in Vancouver, BC, Kanada, sowie der Einsatz von Personal in Indonesien führt zu einem möglichen Zugriff auf die Daten durch Mitarbeiter des Auftragnehmers aus diesen Drittländern. Der Zugriff ist ein Datentransfer im Sinne von Art. 44 DSGVO.
3. Absicherung des Drittlandtransfers: Der Auftragnehmer sichert diesen Datentransfer wie folgt ab:
- Kanada: Für den Zugriff aus Kanada stützt sich der Auftragnehmer auf den Angemessenheitsbeschluss der EU-Kommission, sofern die betroffenen Daten in dessen Geltungsbereich fallen.
- Indonesien und andere Drittländer: Die aktuellen Standardvertragsklauseln (SCCs) der EU-Kommission (Modul 2) sind Anlage A dieser Vereinbarung. Der Auftragnehmer bestätigt die Durchführung eines initialen Transfer Impact Assessments (TIA) und versichert, dass zum Zeitpunkt des Vertragsschlusses keine lokalen Gesetze im Drittland die Einhaltung der SCCs beeinträchtigen. Über wesentliche Änderungen der Gesetzeslage wird der Auftragnehmer den Auftraggeber informieren.
§ 3 Pflichten des Auftragnehmers
1. Vertraulichkeit: Der Auftragnehmer verpflichtet seine Mitarbeiter zur Vertraulichkeit und schult sie in den relevanten Datenschutzvorschriften.
2. Betroffenenrechte und Unterstützung: Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung von Anfragen betroffener Personen und sonstigen Meldepflichten. Die für diese Unterstützung anfallenden Aufwände, die über den vertraglich vereinbarten normalen Leistungsumfang hinausgehen, werden vom Auftragnehmer nach Aufwand zu einem Stundensatz von 240 CAD in Rechnung gestellt.
3. Meldepflichten: Der Auftragnehmer benachrichtigt den Auftraggeber unverzüglich (spätestens 24 Stunden) nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten.
§ 4 Technische und Organisatorische Maßnahmen (TOMs)
1. Der Auftragnehmer verpflichtet sich, die in Anlage B (TOMs) dieser Vereinbarung beschriebenen, geeigneten technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO zu ergreifen und aufrechtzuerhalten.
§ 5 Unterauftragsverhältnisse (Generelle Freigabe)
1. Generelle Freigabe: Der Auftraggeber stimmt der Beauftragung von Unterauftragnehmern durch den Auftragnehmer zu (generelle Genehmigung).
2. Liste und Widerspruchsrecht: Der Auftragnehmer führt eine aktuelle Liste der eingesetzten Unterauftragnehmer (einschließlich KI-Partner) auf seiner Website oder in einem gesonderten, dem Auftraggeber leicht zugänglichen Dokument.
3. Der Auftragnehmer informiert den Auftraggeber über jede geplante Änderung (Hinzufügung oder Ersatz). Der Auftraggeber kann der Änderung innerhalb von vierzehn (14) Tagen ab Information aus wichtigem Grund widersprechen. Erfolgt kein fristgerechter Widerspruch, gilt die Zustimmung als erteilt.
4. Haftung: Der Auftragnehmer haftet für die Einhaltung der datenschutzrechtlichen Pflichten seiner Unterauftragnehmer wie für eigenes Verschulden.
§ 6 Rechte und Pflichten des Auftraggebers
1. Auditierung (Begrenzt): Der Auftraggeber hat das Recht, Audits durchzuführen. Der Auftragnehmer ist berechtigt, die Durchführung auf maximal ein (1) Audit pro Kalenderjahr zu beschränken. Die durch die Mitwirkung des Auftragnehmers verursachten internen Aufwände werden dem Auftraggeber in Rechnung gestellt.
2. Verantwortung: Der Auftraggeber ist allein Verantwortlicher für die Einhaltung der DSGVO, insbesondere der Rechtmäßigkeit der Verarbeitung.
§ 7 Haftung
1. Grundsatz: Die Haftung der Parteien richtet sich nach Art. 82 DSGVO.
2. Deckelung: Die Haftungsbeschränkungen des Hauptvertrages (AGB) gelten auch für diese AVV, sofern und soweit dies die Haftung nach Art. 82 DSGVO nicht unzulässig einschränkt.
§ 8 Rückgabe oder Löschung von Daten
Nach Beendigung des Hauptvertrages werden alle personenbezogenen Daten unverzüglich gelöscht oder auf Wunsch des Auftraggebers zurückgegeben, sofern keine gesetzliche Aufbewahrungspflicht besteht.
§ 9 Gerichtsstand und anwendbares Recht
1. Zwingendes Recht: Für diese Auftragsverarbeitungsvereinbarung gilt ausschließlich deutsches Recht in Anwendung der Datenschutz-Grundverordnung (DSGVO).
2. Gerichtsstand: Soweit nach Art. 82 DSGVO der Gerichtsstand für Betroffene oder Aufsichtsbehörden zwingend vorgeschrieben ist, ist dieser maßgeblich. Im Übrigen gelten die Regelungen zur Streitbeilegung des Hauptvertrages (§ 1 Abs. 4 AGB – Schiedsgericht Vancouver).
§ 10 Anlagen
Bestandteile dieser Vereinbarung sind die folgenden Anlagen:
- Anlage A: Die Standardvertragsklauseln (SCCs, Modul 2)
- Anlage B: Technische und Organisatorische Maßnahmen (TOMs)
Anlage A: Standardvertragsklauseln (SCCs)
DURCHFÜHRUNGSBESCHLUSS (EU) 2021/914 DER KOMMISSION vom 4. Juni 2021 über Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer gemäß der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates.
DURCHFÜHRUNGSBESCHLUSS (EU) 2021/914 DER KOMMISSION
vom 4. Juni 2021
über Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer gemäß der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates
(Text von Bedeutung für den EWR)
Abschnitt I – Allgemeine Klauseln
Klausel 1 – Zweck und Anwendungsbereich: Mit diesen Standardvertragsklauseln soll sichergestellt werden, dass die Anforderungen der Verordnung (EU) 2016/679 bei der Übermittlung personenbezogener Daten an ein Drittland eingehalten werden.
Klausel 2 – Wirkung und Unabänderbarkeit: Diese Klauseln enthalten geeignete Garantien, einschließlich durchsetzbarer Rechte betroffener Personen und wirksamer Rechtsbehelfe gemäß Art. 46 Abs. 1 und Abs. 2 lit. c der Verordnung (EU) 2016/679.
Klausel 3 – Drittbegünstigte: Betroffene Personen können diese Klauseln als Drittbegünstigte gegenüber dem Datenexporteur und/oder dem Datenimporteur geltend machen und durchsetzen.
Klausel 4 – Auslegung: Diese Klauseln sind im Lichte der Bestimmungen der Verordnung (EU) 2016/679 auszulegen.
Klausel 5 – Vorrang: Im Falle eines Widerspruchs zwischen diesen Klauseln und den Bestimmungen von damit zusammenhängenden Vereinbarungen haben diese Klauseln Vorrang.
Klausel 6 – Beschreibung der Datenübermittlung(en): Die Einzelheiten der Datenübermittlung(en) sind in Anhang I.B aufgeführt.
Klausel 7 – Kopplungsklausel (fakultativ): Eine Einrichtung, die nicht Partei dieser Klauseln ist, kann diesen Klauseln mit Zustimmung der Parteien jederzeit beitreten.
Abschnitt II – Pflichten der Parteien
Klausel 8 – Datenschutzgarantien: Der Datenexporteur versichert, sich im Rahmen des Zumutbaren davon überzeugt zu haben, dass der Datenimporteur in der Lage ist, seinen Pflichten aus diesen Klauseln nachzukommen.
Modul 1: Übermittlung von Verantwortlichen an Verantwortliche
8.1 Zweckbindung:
Der Datenimporteur verarbeitet die personenbezogenen Daten nur für den in Anhang I.B genannten spezifischen Zweck(e) der Übermittlung.
8.2 Transparenz:
Der Datenimporteur teilt betroffenen Personen seinen Namen, Kontaktdaten, die Kategorien der verarbeiteten Daten und das Recht auf Erhalt einer Kopie dieser Klauseln mit.
8.3 Richtigkeit und Datenminimierung:
Jede Partei stellt sicher, dass die personenbezogenen Daten sachlich richtig und auf das notwendige Maß beschränkt sind.
8.4 Speicherbegrenzung:
Der Datenimporteur speichert die personenbezogenen Daten nur so lange, wie es für den Zweck erforderlich ist.
8.5 Sicherheit der Verarbeitung:
a)–d) Der Datenimporteur und der Datenexporteur treffen geeignete technische und organisatorische Maßnahmen, um die Sicherheit der personenbezogenen Daten zu gewährleisten.
e) Hat die Verletzung des Schutzes personenbezogener Daten voraussichtlich ein Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen zur Folge, meldet der Datenimporteur die Verletzung unverzüglich sowohl dem Datenexporteur als auch der zuständigen Aufsichtsbehörde. Diese Meldung enthält i) eine Beschreibung der Art der Verletzung, ii) ihre wahrscheinlichen Folgen, iii) die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und iv) die Kontaktdaten einer Anlaufstelle.
f) Hat die Verletzung voraussichtlich ein hohes Risiko zur Folge, benachrichtigt der Datenimporteur ebenfalls die betroffenen Personen unverzüglich, es sei denn, er hat Maßnahmen ergriffen, um das Risiko erheblich zu mindern, oder die Benachrichtigung wäre mit einem unverhältnismäßigen Aufwand verbunden.
g) Der Datenimporteur dokumentiert alle maßgeblichen Fakten im Zusammenhang mit der Verletzung, einschließlich ihrer Auswirkungen und etwaiger ergriffener Abhilfemaßnahmen.
8.6 Sensible Daten:
Sofern die Übermittlung sensible Daten umfasst (rassische/ethnische Herkunft, politische Meinungen, religiöse Überzeugungen, Gewerkschaftszugehörigkeit, genetische/biometrische Daten, Gesundheitsdaten, Daten über Sexualleben oder strafrechtliche Verurteilungen), wendet der Datenimporteur spezielle Beschränkungen und/oder zusätzliche Garantien an.
8.7 Weiterübermittlungen:
Der Datenimporteur darf die personenbezogenen Daten nicht an Dritte außerhalb der EU weitergeben, es sei denn unter den in den Klauseln genannten Bedingungen (Angemessenheitsbeschluss, geeignete Garantien, Rechtsansprüche, lebenswichtige Interessen oder ausdrückliche Einwilligung).
8.8 Verarbeitung unter der Aufsicht des Datenimporteurs:
Der Datenimporteur stellt sicher, dass jede ihm unterstellte Person diese Daten ausschließlich auf der Grundlage seiner Weisungen verarbeitet.
8.9 Dokumentation und Einhaltung der Klauseln:
a) Jede Partei muss nachweisen können, dass sie ihre Pflichten erfüllt. b) Der Datenimporteur stellt der zuständigen Aufsichtsbehörde diese Aufzeichnungen auf Verlangen zur Verfügung.
Modul 2: Übermittlung von Verantwortlichen an Auftragsverarbeiter
8.1 Weisungen:
a) Der Datenimporteur verarbeitet die personenbezogenen Daten nur auf dokumentierte Weisung des Datenexporteurs. b) Der Datenimporteur unterrichtet den Datenexporteur unverzüglich, wenn er diese Weisungen nicht befolgen kann.
8.2 Zweckbindung:
Der Datenimporteur verarbeitet die personenbezogenen Daten nur für den in Anhang I.B genannten spezifischen Zweck(e), sofern keine weiteren Weisungen des Datenexporteurs bestehen.
8.3 Transparenz:
Auf Anfrage stellt der Datenexporteur der betroffenen Person eine Kopie dieser Klauseln unentgeltlich zur Verfügung. Soweit nötig, können Teile zum Schutz von Geschäftsgeheimnissen geschwärzt werden.
8.4 Richtigkeit:
Stellt der Datenimporteur fest, dass die erhaltenen personenbezogenen Daten unrichtig oder veraltet sind, unterrichtet er unverzüglich den Datenexporteur und arbeitet mit ihm zusammen, um die Daten zu löschen oder zu berichtigen.
8.5 Dauer der Verarbeitung und Löschung oder Rückgabe:
Die Daten werden nur für die in Anhang I.B angegebene Dauer verarbeitet. Nach Beendigung löscht der Datenimporteur alle verarbeiteten personenbezogenen Daten und bescheinigt dem Datenexporteur, dass dies erfolgt ist, oder gibt die Daten zurück.
8.6 Sicherheit der Verarbeitung:
a) Geeignete technische und organisatorische Maßnahmen, einschließlich Verschlüsselung oder Pseudonymisierung. b) Zugang nur für unbedingt erforderliches Personal. c) Unverzügliche Meldung von Verletzungen an den Datenexporteur. d) Unterstützung bei der Benachrichtigung von Aufsichtsbehörden und betroffenen Personen.
8.7 Sensible Daten:
Der Datenimporteur wendet die in Anhang I.B beschriebenen speziellen Beschränkungen und/oder zusätzlichen Garantien an.
8.8 Weiterübermittlungen:
Nur auf dokumentierte Weisung des Datenexporteurs, unter den in den Klauseln genannten Bedingungen (Angemessenheitsbeschluss, geeignete Garantien, Rechtsansprüche oder lebenswichtige Interessen).
8.9 Dokumentation und Einhaltung:
a) Umgehende Bearbeitung von Anfragen. b) Geeignete Aufzeichnungen. c) Bereitstellung von Informationen zum Compliance-Nachweis und Ermöglichung von Prüfungen. d) Prüfungen können Inspektionen umfassen. e) Bereitstellung an Aufsichtsbehörden auf Anfrage.
Modul 3: Übermittlung von Auftragsverarbeitern an Auftragsverarbeiter
8.1 Weisungen:
a) Der Datenexporteur hat dem Datenimporteur mitgeteilt, dass er als Auftragsverarbeiter nach den Weisungen seines Verantwortlichen fungiert. b) Verarbeitung nur auf dokumentierte Weisungen des Verantwortlichen. c) Unverzügliche Unterrichtung bei Nichtbefolgung. d) Auferlegung derselben Datenschutzpflichten.
8.2–8.5:
Zweckbindung, Transparenz, Richtigkeit und Dauer der Verarbeitung gelten analog zu Modul 2.
8.6 Sicherheit der Verarbeitung:
Analog zu Modul 2, mit zusätzlicher Meldepflicht an den Verantwortlichen (sofern angemessen und machbar).
8.7–8.9:
Sensible Daten, Weiterübermittlungen und Dokumentation gelten analog zu Modul 2, mit zusätzlicher Einbeziehung des Verantwortlichen.
Modul 4: Übermittlung von Auftragsverarbeitern an Verantwortliche
8.1 Weisungen:
a) Verarbeitung nur auf dokumentierte Weisung des Datenimporteurs (Verantwortlicher). b) Unverzügliche Unterrichtung bei Nichtbefolgung. c) Der Datenimporteur unterlässt Handlungen, die den Datenexporteur an der DSGVO-Erfüllung hindern. d) Löschung oder Rückgabe nach Beendigung.
8.2 Sicherheit der Verarbeitung:
Geeignete technische und organisatorische Maßnahmen. Unterstützung bei Verletzungen. Vertraulichkeitsverpflichtung des Personals.
8.3 Dokumentation und Einhaltung:
Nachweispflicht der Parteien. Bereitstellung von Informationen und Ermöglichung von Prüfungen.
Klausel 9 – Einsatz von Unterauftragsverarbeitern
Modul 2 (Verantwortliche an Auftragsverarbeiter):
Option 1: Vorherige gesonderte Genehmigung für jeden Unterauftragsverarbeiter. Option 2: Allgemeine schriftliche Genehmigung mit Widerspruchsrecht.
b) Schriftlicher Vertrag mit im Wesentlichen denselben Datenschutzpflichten. c) Bereitstellung von Kopien der Untervergabevereinbarung. d) Volle Haftung des Datenimporteurs für Unterauftragsverarbeiter. e) Drittbegünstigtenklausel zugunsten des Datenexporteurs.
Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter):
Analog zu Modul 2, mit Genehmigung durch den Verantwortlichen statt den Datenexporteur. Der Datenimporteur informiert zusätzlich den Datenexporteur über die Beauftragung.
Klausel 10 – Rechte betroffener Personen
Modul 1 (Verantwortliche an Verantwortliche):
a) Bearbeitung aller Anfragen innerhalb eines Monats. b) Auskunft, Berichtigung, Löschung. c) Widerspruchsrecht bei Direktwerbung. d) Keine rein automatisierten Entscheidungen ohne Einwilligung. e) Angemessene Gebühr bei exzessiven Anträgen. f) Ablehnung nur bei gesetzlicher Zulässigkeit. g) Information über Ablehnungsgründe.
Modul 2 (Verantwortliche an Auftragsverarbeiter):
a) Unverzügliche Weiterleitung an den Datenexporteur. b) Unterstützung bei der Erfüllung von Betroffenenrechten. c) Befolgung der Weisungen des Datenexporteurs.
Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter):
Analog zu Modul 2, mit zusätzlicher Einbeziehung des Verantwortlichen.
Modul 4 (Auftragsverarbeiter an Verantwortliche):
Gegenseitige Unterstützung bei der Beantwortung von Anfragen betroffener Personen.
Klausel 11 – Rechtsbehelf
a) Der Datenimporteur informiert betroffene Personen über eine Anlaufstelle für Beschwerden und bearbeitet alle Beschwerden umgehend.
b) Optional: Betroffene Personen können Beschwerden auch bei einer unabhängigen Streitbeilegungsstelle einreichen, ohne dass Kosten entstehen.
Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter):
b) Im Falle einer Streitigkeit zwischen einer betroffenen Person und einer der Parteien bezüglich der Einhaltung dieser Klauseln bemüht sich die betreffende Partei nach besten Kräften um eine zügige gütliche Beilegung.
c) Die betroffene Person kann eine Beschwerde bei der Aufsichtsbehörde einreichen oder den Streitfall an die zuständigen Gerichte verweisen.
d) Die betroffene Person kann von einer Einrichtung ohne Gewinnerzielungsabsicht gemäß Art. 80 Abs. 1 DSGVO vertreten werden.
e) Der Datenimporteur unterwirft sich verbindlichen Beschlüssen nach geltendem Unionsrecht oder Recht eines Mitgliedstaats.
f) Die Entscheidung der betroffenen Person berührt nicht ihre Rechte, weitere Rechtsbehelfe einzulegen.
Klausel 12 – Haftung
Modul 1 & 4 (Verantwortliche an Verantwortliche / Auftragsverarbeiter an Verantwortliche):
a) Jede Partei haftet gegenüber der anderen für Schäden durch Verstoß gegen diese Klauseln.
b) Jede Partei haftet gegenüber der betroffenen Person für materiellen oder immateriellen Schaden durch Verletzung ihrer Drittbegünstigtenrechte.
c) Bei mehreren verantwortlichen Parteien haften diese gesamtschuldnerisch.
d) Rückforderungsrecht des anteiligen Schadenersatzes zwischen den Parteien.
e) Der Datenimporteur kann sich nicht auf das Verhalten eines Auftragsverarbeiters berufen, um sich seiner Haftung zu entziehen.
Modul 2 & 3 (Verantwortliche an Auftragsverarbeiter / Auftragsverarbeiter an Auftragsverarbeiter):
a) Jede Partei haftet gegenüber der anderen für Schäden durch Verstoß gegen diese Klauseln.
b) Der Datenimporteur haftet gegenüber der betroffenen Person für Schäden, die er oder sein Unterauftragsverarbeiter durch Verletzung der Drittbegünstigtenrechte verursacht.
c) Der Datenexporteur haftet ebenfalls, unbeschadet der Haftung des Verantwortlichen gemäß DSGVO.
d)–f) Rückforderungsrechte und gesamtschuldnerische Haftung analog zu Modul 1.
g) Der Datenimporteur kann sich nicht auf das Verhalten eines Unterauftragsverarbeiters berufen, um sich seiner Haftung zu entziehen.
Klausel 13 – Aufsicht
Die Aufsichtsbehörde, die dafür verantwortlich ist, die Einhaltung der DSGVO durch den Datenexporteur bei Datenübermittlungen sicherzustellen, fungiert als zuständige Aufsichtsbehörde (entsprechend der Angabe in Anhang I.C).
Anhang I: Liste der Parteien, Beschreibung des Transfers und zuständige Behörde
A. Liste der Parteien
Datenexporteur (AG)
Name und Adresse: [Name und Anschrift des Kunden eintragen]
Tätigkeiten: Verantwortlich für die Einhaltung der DSGVO, erteilt die Weisungen zur Datenverarbeitung.
Ansprechpartner: Elliott Schweigert
Datenimporteur (AV)
KiCo AI LLP, 329 Howe St, Unit #888, Vancouver, BC V6C 3N2, Kanada
Tätigkeiten: Erbringung von KI-gestützten Dienstleistungen, strategischer Beratung und Content-Erstellung im Auftrag des Datenexporteurs.
Ansprechpartner: GF: Elliott Schweigert
E-Mail: elliottschweigert@kicoai.com
B. Beschreibung des Transfers und der Verarbeitung
Kategorien Betroffener Personen: Endkunden, Interessenten, Mitarbeiter und Geschäftspartner des Datenexporteurs.
Kategorien Persönlicher Daten: Kontaktdaten, Kommunikationsdaten, Nutzungsdaten (Logfiles), Vertragsdaten sowie Daten, die der Kunde zur Erfüllung des Hauptvertrages bereitstellt. Es werden keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) übertragen, es sei denn, dies ist vertraglich gesondert vereinbart.
Häufigkeit des Transfers: Kontinuierlicher Zugriff während der Laufzeit des Hauptvertrags.
Art der Verarbeitung: Erhebung, Speicherung, Organisation, Anpassung, Auswertung, Übermittlung, Löschung zur KI-gestützten Generierung von Inhalten, Wartung und Administration der Systeme.
Zweck des Transfers: Ermöglichung des Zugriffs aus dem Drittland (Kanada/Indonesien) zur Wartung, Administration und Überwachung der Dienstleistungserbringung.
Dauer der Speicherung: Für die Dauer des Hauptvertrags und solange gesetzliche Aufbewahrungspflichten bestehen.
C. Zuständige Aufsichtsbehörde
Die zuständige Aufsichtsbehörde ist die Aufsichtsbehörde des Landes, in dem der Datenexporteur (Kunde) seinen Sitz hat (Deutschland, Österreich oder Schweiz).
Anlage B: Technische und Organisatorische Maßnahmen (TOMs)
Der Datenimporteur (KiCo AI LLP) hat folgende Sicherheitsmaßnahmen implementiert, um die Vertraulichkeit, Integrität und Verfügbarkeit der verarbeiteten Daten zu gewährleisten:
| Sicherheitsziel | Maßnahmenbeschreibung |
|---|---|
| Zutrittskontrolle | ISO 27001-zertifizierte Rechenzentren, betrieben von der Google Cloud Platform (GCP), in der EU (z.B. Deutschland). Schutz vor unbefugtem physischem Zugang. |
| Zugangskontrolle | Strikte Rollen- und Rechteverwaltung nach dem Least-Privilege-Prinzip. |
| Zwei-Faktor-Authentifizierung | 2FA für alle kritischen Zugriffe. |
| Weitergabekontrolle | Ende-zu-Ende-Verschlüsselung (VPN und TLS 1.3) bei jeglichem Zugriff oder Datentransfer, insbesondere durch Personal in Kanada und Indonesien. |
| Eingabekontrolle | Protokollierung der Eingabe, Änderung und Löschung von Daten (Audit-Trails). |
| Verfügbarkeit | Regelmäßige Backups der Datenbestände (täglich/wöchentlich); etablierter Disaster Recovery Plan. |
| Trennungsgebot | Logische Trennung der Kundendaten (Mandantenfähigkeit) auf den Servern. |
| Datenschutzmanagement | Jährliche Datenschutzschulungen der Mitarbeiter. Benennung eines externen/internen Datenschutzkoordinators. Dokumentierte Prozesse zur Meldung von Datenschutzverletzungen. |
Der vollständige Text der Standardvertragsklauseln gemäß DURCHFÜHRUNGSBESCHLUSS (EU) 2021/914 ist als Anlage A Bestandteil dieser Vereinbarung. Der vollständige Wortlaut ist im Amtsblatt der Europäischen Union (L 199/31 vom 7.6.2021) veröffentlicht und kann unter eur-lex.europa.eu abgerufen werden.